プラットフォーム
adobe
コンポーネント
adobe-commerce
修正版
3.2.6
Adobe Commerceのバージョン3.2.5以前には、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。この脆弱性は、攻撃者が脆弱なサーバーから内部システムへのリクエストを送信することを可能にし、ファイアウォールなどのセキュリティ対策を回避する可能性があります。影響を受けるバージョンは3.2.5以前であり、3.2.6にアップデートすることで修正されています。
このSSRF脆弱性を悪用されると、攻撃者はAdobe Commerceサーバーから内部ネットワーク内のリクエストを送信できます。これにより、本来アクセスできないはずの内部リソースにアクセスしたり、機密情報を取得したりする可能性があります。例えば、内部APIを呼び出して認証情報を取得したり、内部データベースにアクセスしてデータを盗み出したりすることが考えられます。また、この脆弱性はユーザーインタラクションを必要としないため、攻撃者は容易に悪用できる可能性があります。攻撃範囲は、内部ネットワーク全体に及ぶ可能性があり、深刻な影響をもたらす可能性があります。
この脆弱性は、2024年11月12日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）カタログには登録されていません。公的なPoC（Proof of Concept）は確認されていませんが、SSRF脆弱性は一般的に悪用が容易であるため、注意が必要です。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の脅威動向を把握することが重要です。
Organizations heavily reliant on Adobe Commerce for their e-commerce operations, particularly those with complex internal network architectures and sensitive data stored on internal systems, are at heightened risk. Shared hosting environments utilizing Adobe Commerce are also vulnerable, as a compromised tenant could potentially exploit the SSRF vulnerability to access resources belonging to other tenants.
• adobe: Examine Adobe Commerce access logs for unusual outbound requests to internal IP addresses or services.
grep -i 'internal_ip_address' /var/log/apache2/access.log• generic web: Use curl to test for SSRF by attempting to access internal resources through the Adobe Commerce application.
curl -v http://<adobe_commerce_server>/internal_resource• generic web: Check response headers for clues of internal redirects or server information.
curl -I http://<adobe_commerce_server>disclosure
エクスプロイト状況
EPSS
0.32% (55% パーセンタイル)
CISA SSVC
CVSS ベクトル
まず、Adobe Commerceをバージョン3.2.6以降にアップデートすることが最も効果的な対策です。アップデートが利用できない場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することを推奨します。また、内部ネットワークへのアクセスを制限するネットワークセグメンテーションを実施することも有効です。さらに、Adobe Commerceの設定を見直し、不要な外部からのアクセスを制限することも重要です。アップデート後、SSRF攻撃に対する防御ルールが正しく機能していることを確認してください。
SSRFの脆弱性を修正するために、Adobe Commerceを3.2.5より後のバージョンにアップデートしてください。詳細とアップデートに関する具体的な手順については、Adobeのセキュリティアドバイザリ (APSB24-90) を参照してください。可能な限り早くアップデートを適用して、潜在的な攻撃を防ぐことをお勧めします。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-49521は、Adobe Commerce 3.2.5以前のバージョンに存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。攻撃者はこの脆弱性を悪用して、内部システムへのリクエストを送信し、セキュリティ機能を回避する可能性があります。
はい、Adobe Commerceのバージョン3.2.5以前を使用している場合は影響を受けます。攻撃者は内部システムへのアクセスを試み、機密情報を盗み出す可能性があります。
Adobe Commerceをバージョン3.2.6以降にアップデートすることが最も効果的な対策です。アップデートが利用できない場合は、WAFを導入するなど、代替の対策を検討してください。
現時点では公的なPoCは確認されていませんが、SSRF脆弱性は一般的に悪用が容易であるため、注意が必要です。最新の脅威動向を常に把握するようにしてください。
Adobe Security Bulletinの公式ページで確認できます。詳細はAdobeのセキュリティ情報を参照してください。